REST API面临的7大安全威胁

连年来，互联网上安详裂痕明显增多。互联网安详的话题也被技能博客和论坛接头得越来越频仍:安详性很是重要，尤其是在REST API的天下中。

按照Jitterbit公司2018年API集成状态陈诉:

APIs 正在改变贸易

令人印象深刻的是，此刻有64%的组织机构正在建设用于内部或外部用例的APIs。固然此刻有四分之一的受访者基础没有建设APIs，可是有40%的受访者正在行使内部和外部用例中的APIs。

API的建设和打点落到了开拓职员的肩上

现在，大大都操作APIs的组织都依靠开拓职员来编写和打点这些api。33%的受访者行使专门的技能来打点APIs，而90%的受访者则依靠开拓团队或外部资源从新开始编写APIs。

因为在越来越多的新的云应用措施之间编写集成代码，组织已经不堪重负，因此要求开拓职员为营业建设和打点APIs。

REST API安详

在计划、测试和陈设REST API时，安详性题目必需是必要思量的重要方面。跟着REST API的惊人成长，安详级别，大部门时刻，在API的计划和开拓中被低估了。敏感数据的安详性，无论是组织的照旧小我私人的信息，都是当今困扰开拓职员的一个重要身分。REST api也不破例，它是必要针对安详威胁和粉碎举办掩护的根基体系的一部门。

按照2018年Postman community report (survey)，越来越多的开拓者开始存眷REST API的安详性:

在这篇文章中，我将先容当今IT天下中最常见的7种REST API安详威胁，以便引起每小我私人的留意，并辅佐相识可以或许反应REST API机能的安详威胁。

REST的安详性题目。

REST凡是行使HTTP作为它的底层协议,这带来了一系列安详题目：

• 隐藏的进攻者可以完全节制HTTP哀求或HTTP相应。因为REST api凡是用于互换生涯在很多处事器中并也许在很多处事器中执行的信息，因此它也许导致很多不行见的粉碎和信息走漏。
• 进攻者可以在客户端(REST API的斲丧者,受害者的REST API处事器)可能在处事器端(进攻者得到节制你的REST API处事器),他建设了一个混混,恶意措施。受害者,在这种环境下,应用措施从长途REST API处事斲丧资源。
• 对付行使REST作为客户机或处事器的应用措施，另一方凡是完全节制资源暗示，并可以注入任何有用负载来进攻资源处理赏罚(譬喻，获取恣意Java代码或体系呼吁执行)。

在REST架构中，端到端处理赏罚意味着一系列隐藏的懦弱操纵：

• 在举办 from/to the HTTP 动静映射 和资源 URL (controller 映射).
• 实例化暗示方针资源的工具并挪用所哀求的操纵时(从节制器挪用处事)。
• 在为方针资源(特定于处事的成果)天生状态暗示时。
• 当会见/修改托管资源状态(生涯到数据库或存储中)的后端体系中的数据时。

REST框架中的分层转换序列意味着链中的一个单薄环节也许使应用措施变得懦弱。

7大REST API安详威胁：

1. 注入进攻

在注入进攻中，伤害的代码被嵌入堤富安详的软件措施中举办进攻，，尤其是SQL注入和跨站点剧本编写。现实上，可以通过将不受信赖的数据作为查询或呼吁的一部门传输到API中来哄骗此果真。输入随后由表明器实现，这也许导致进攻者得到未经授权的信息会见或举办其他粉碎。

阻止或拒绝注入进攻的最有用要领是添加输入验证，下面是最要害的指导原则：

• 验证输入: 长度/范畴/名目和范例
• 通过行使API参数中的数字、布尔值、日期、时刻或牢靠命据范畴等强范例来实现隐式输入参数验证
• 用正则表达式束缚字符串输入
• 界说恰当的哀求巨细限定，并拒绝HTTP相应状态为413的哀求实体太大而高出该限定的哀求

2. DoS 进攻

在拒绝处事(DoS)进攻中，进攻者在大大都环境下会推送大量哀求处事器或收集的动静，以成立由无效返回地点构成的哀求。假如不采纳恰当的安详提防法子，这种进攻可以或许将RESTful API泛起为拒绝行使的环境。最近，无论您的API是否果真，其他人(包罗进攻者)都也许会见它。

跟着这些API DoS进攻变得越来越广泛，跟着组织越来越多地依靠于API来满意营业需求，安详专家应该起劲地打算处理赏罚此类进攻。纵然禁用了用于应用措施身份验证的API密钥(或会见令牌)，也可以通过尺度赏识器哀求轻松地从头获取密钥。因此，使当前的会见令牌无效不是一个恒久的办理方案。假如DoS进攻可以追溯到特定的IP地点，那么将该IP地点列入黑名单也不是一个恒久的办理方案，由于进攻者可以很轻易地得到一个新的IP地点。

这就是为什么必要多种会见节制要领。对付非敏感信息，行使API键也许就足够了。可是，为了更好地防备DoS进攻，必要行使HTTPS和更结实的身份验证机制，包罗OAuth、彼此(双向)TLS(传输层安详)身份验证或SAML(安详断言标志说话)令牌。

为了防备大量API哀求导致DDoS进攻或API处事的其他误用，对每个API在给按时距离断内的哀求数目举办限定(也称为峰值遏制)。当高出速度时，至少暂且阻塞API键的会见，并返回429(太多哀求)HTTP错误代码。

假如您开始构建新的REST API，请搜查具有很多面向安详特征的web处事器。

3. 冲破身份验证

这些特定的题目也许使进攻者绕过或节制web措施行使的身份验证要领。穷乏或不充实的身份验证也许导致进攻，从而危及JSON web令牌、API密钥、暗码等。进攻的目标凡是是节制多个帐户，更不消说进攻者得到与被进攻用户沟通的特权了。应该只应承颠末身份验证的用户会见api。

行使OpenId/OAuth令牌、PKI和API密钥可以很好地满意API的授权和身份验证需求。永久不要通过未封装的毗连发送凭据，也不要在Web URL中表现会话ID。

4. 袒露敏感数据

（编辑：河北网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!